In dit artikel staat de klachtbehandeling door de Autoriteit persoonsgegevens (AP) op grond van de Algemene verordening gegevensbescherming (AVG) centraal. Die klachtbehandeling is een belangrijke taak die de AP heeft sinds de AVG op 25 mei 2018 van toepassing is geworden. De regeling voor de behandeling van klachten in de AVG sluit logischerwijs niet naadloos aan op ons nationaal bestuurs(proces)recht. Wij gaan in dit artikel eerst in op de vraag wat moet worden verstaan onder het begrip klacht uit de AVG, en lichten toe dat een klacht een handhavingsverzoek kan zijn, maar dat dit niet steeds het geval is. Vervolgens staan wij stil bij het begrip ‘betrokkene’ uit de AVG. Het blijkt dat volgens de jurisprudentie onder de Wet bescherming persoonsgegevens het enkele feit dat iemands persoonsgegevens worden verwerkt, op zichzelf niet voldoende is voor de conclusie dat iemand ook kon worden aangemerkt als belanghebbende in de zin van de Algemene wet bestuursrecht (Awb). Daarnaast besteden wij aandacht aan de positie van concurrenten die een AVG-klacht indienen: biedt de AVG hun nog de ruimte voor het indienen van een handhavingsverzoek? Als een AVG-klacht ook een handhavingsverzoek is, komt ten slotte de vraag op binnen welke termijn moet worden beslist. Omdat de AVG in alle lidstaten op een eenduidige manier moet worden toegepast, zal regelmatig afstemming moeten worden gezocht met andere toezichthouders voordat een besluit op een handhavingsverzoek kan worden genomen. Omdat de besluitvorming daarmee noodzakelijkerwijs meer tijd kost, voorziet de AVG in de mogelijkheid dat niet binnen een termijn van drie maanden wordt beslist op de klacht, maar dat een mededeling wordt gedaan over de voortgang van het onderzoek dat is gestart naar aanleiding van de klacht. Wij lichten toe hoe deze regeling in het Awb-regime moet worden gepast.

• Inleiding

  Weinigen zal zijn ontgaan dat op 25 mei 2018 de Algemene verordening gegevensbescherming (AVG) van toepassing is geworden. Op diezelfde datum is in Nederland de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) in werking getreden. Deze wet voorziet onder meer in de aanwijzing van de Autoriteit persoonsgegevens (AP) als toezichthouder op de AVG en in nadere regels om de AVG beter in te bedden in het Nederlandse rechtsstelsel.¹xZie ook J.P. de Jong, ‘AVG, UAVG en Awb’, NTB 2018/53.
  De AVG kent de AP een uitgebreid pakket aan taken toe.²xArt. 57 AVG. De AP handhaaft vanzelfsprekend de toepassing van de verordening. Maar daarnaast adviseert zij bijvoorbeeld ook regering en parlement over nieuwe wet- en regelgeving over de verwerking van persoonsgegevens. Verder bevat de AVG verschillende verplichtingen over het verstrekken van informatie: het brede publiek moet bekend worden gemaakt met risico’s, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, de verwerkingsverantwoordelijken en verwerkers moeten worden gewezen op hun verplichtingen en iedere betrokkene kan de AP om informatie vragen over de uitoefening van zijn rechten. Bovendien heeft de AP taken in Europees verband, zoals de samenwerking met toezichthoudende autoriteiten uit andere lidstaten. Daarnaast heeft de AP taken op het gebied van klachtbehandeling.³xDe opsomming van de taken van de AP in de AVG is overigens niet limitatief: de AP verricht namelijk ook ‘alle andere taken die verband houden met de bescherming van persoonsgegevens’, zie art. 57 lid 1 aanhef en sub v AVG.
  In deze bijdrage staat die klachtbehandeling door de AP centraal. Wij zullen met name ingaan op de vraag hoe de regeling in de AVG over de behandeling van klachten zich tot de Algemene wet bestuursrecht (Awb) verhoudt. Omdat de AVG begrijpelijkerwijs niet is afgestemd op ons nationaal bestuurs(proces)recht, levert de toepassing van de AVG-regeling namelijk interessante vragen op. Wat wordt precies verstaan onder een klacht? En is een klacht steeds een handhavingsverzoek op grond van de Awb? Wie mag een klacht indienen? En welke beslistermijnen gelden? Deze vragen worden hierna besproken, waarbij wij inzicht bieden in de wijze waarop de AVG zich volgens ons op deze punten tot de Awb verhoudt.

• Klachtbehandeling als taak van de AP

  Het recht om een klacht in te dienen bij de toezichthoudende autoriteit is neergelegd in artikel 77 AVG. In het eerste lid van die bepaling staat dat iedere betrokkene het recht heeft om een klacht in te dienen bij de toezichthoudende autoriteit indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op de AVG. Het is echter aannemelijk dat niet alleen kan worden geklaagd over een vermeend onrechtmatige verwerking van persoonsgegevens, maar ook over andere inbreuken op de AVG, bijvoorbeeld als een verwerkingsverantwoordelijke het recht op inzage⁴xArt. 15 AVG. of het recht van bezwaar van betrokkenen schendt.⁵xArt. 21 AVG. Deze uitleg sluit ook aan bij de formulering van overweging 141 bij de AVG.⁶x‘Iedere betrokkene dient het recht te hebben om een klacht in te dienen bij één enkele toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, en een doeltreffende voorziening in rechte in te stellen overeenkomstig artikel 47 van het Handvest indien hij meent dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening (…).’
  De AP heeft tot taak de klachten te behandelen en de inhoud te onderzoeken in de mate waarin dat gepast is. Zij stelt de klager verder binnen een redelijke termijn in kennis van de voortgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is.⁷xArt. 57 lid 1 aanhef en sub f AVG.
  Voor de bestuursrechtjurist ligt dit gebruik van de term klacht niet voor de hand. Waar in de Awb de term klacht voorkomt, gaat het namelijk over het recht om een klacht in te dienen over de wijze waarop een bestuursorgaan zich gedraagt.⁸xArt. 9:1 Awb. Die klacht moet in eerste instantie worden ingediend bij het bestuursorgaan waarover wordt geklaagd. Een AVG-klacht daarentegen heeft zoals gezegd betrekking op een gestelde inbreuk op rechten uit hoofde van de AVG, en die klacht wordt niet ingediend bij de verwerkingsverantwoordelijke, maar bij de AP.
  In de memorie van toelichting bij de UAVG is stilgestaan bij het verschil tussen de AVG- en de Awb-klacht.⁹x Kamerstukken II 2017/18, 34851, 3, p. 27. Hoewel qua terminologie niet ideaal, zal het hanteren van de verschillende klachtbegrippen naast elkaar in de praktijk waarschijnlijk weinig problemen opleveren.
  Interessanter is het punt dat daarna in de memorie van toelichting wordt aangestipt: de verhouding van de AVG-klacht tot het in het bestuursrecht bekende verzoek om handhaving. In de memorie van toelichting wordt aangenomen dat een AVG-klacht een verzoek om handhaving aan de AP is.¹⁰x Kamerstukken II 2017/18, 34851, 3, p. 27. Betrokkene vraagt immers bij de AP aandacht voor een verwerking van zijn persoonsgegevens, die mogelijk niet conform de regels van de verordening plaatsvindt, zo staat in de memorie. De schriftelijke reactie van de AP dient volgens de memorie dan ook te worden beschouwd als een besluit in de zin van de Awb, waartegen rechtsbescherming openstaat langs de gebruikelijke bestuursrechtelijke weg.
  Wij vragen ons af of deze redenering in alle gevallen opgaat.

• De AVG-klacht als Awb-handhavingsverzoek?

  Geredeneerd vanuit het Nederlandse Awb-stramien is het voorstelbaar dat men – zoals is gebeurd in de memorie van toelichting bij de UAVG – bij de klacht van een betrokkene over een inbreuk op de AVG denkt aan een verzoek om handhaving in de zin van de Awb. Hierna zullen wij op basis van de teksten van de AVG en de Awb zelf toelichten dat, hoewel een AVG-klacht kan samenvallen met een Awb-handhavingsverzoek, tussen deze rechtsfiguren zodanige verschillen bestaan dat zij niet volledig kunnen worden vereenzelvigd. Dat hoeft ook niet, omdat de AVG een Europese verordening is, die – anders dan Europese richtlijnen – op grond van artikel 288 van het Verdrag betreffende de Werking van de Europese Unie verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat. Het is, anders dan bij Europese richtlijnen, dus niet nodig om zelfstandige rechtsfiguren uit de AVG te vertalen naar ons Nederlandse bestuursprocesrecht. Zij werken immers rechtstreeks door. In de UAVG is ook niet bepaald dat het resultaat van een klacht op grond van de AVG wordt gelijkgesteld met een besluit in de zin van artikel 1:3 lid 1 Awb. In de nota naar aanleiding van het verslag is bovendien onderkend dat AVG-klachten niet per definitie kunnen worden aangemerkt als handhavingsverzoeken op grond van de Awb. Daarin staat namelijk: ‘Wanneer een klacht tevens een handhavingsverzoek is (een verzoek om op te treden) en klachtbemiddeling en alternatieve interventies niet afdoende blijken, dan zal de AP een formeel besluit moeten nemen’.¹¹x Kamerstukken II 2017/18, 34851, 7, p. 34.
  Om te beoordelen of een klacht op grond van de AVG in voorkomend geval als zodanig moet worden gezien, zal dus per geval moeten worden beoordeeld of wordt voldaan aan de voorwaarden die daarvoor gelden. Een verzoek om handhaving in de zin van de Awb is gelet op artikel 1:3 lid 3 Awb een verzoek van een belanghebbende om een besluit te nemen dat strekt tot handhaving. Gelet daarop zal de AP bij ontvangst van een AVG-klacht in de eerste plaats moeten beoordelen wat de klager met zijn klacht beoogt. Vaak zal de klager daarmee een praktisch resultaat voor ogen staan, ongeacht op welke wijze de verwerkingsverantwoordelijke daartoe wordt bewogen. Denk daarbij bijvoorbeeld aan het veelvoorkomende geval waarin een betrokkene op grond van artikel 15 AVG heeft verzocht om inzage in zijn persoonsgegevens, terwijl de verwerkingsverantwoordelijke volgens de betrokkene geen of onvoldoende gevolg heeft gegeven aan dit verzoek. Als de verwerkingsverantwoordelijke hierin inderdaad tekortschiet, kan dit ook het gevolg zijn van onbekendheid met de toepasselijke regels. In veel gevallen kan de AP dan, door contact op te nemen met de verwerkingsverantwoordelijke en deze uitleg te geven, bewerkstelligen dat alsnog naar behoren wordt voldaan aan het inzageverzoek. De betrokkene heeft dan vaak geen behoefte aan verdergaand optreden door de AP. Dit geldt bijvoorbeeld ook bij klachten van buren over beveiligingscamera’s bij woningen. Overleg met de verwerkingsverantwoordelijke over aanpassing van de opstelling van de camera op zo’n manier dat het openbaar gebied daarbij zo min mogelijk in beeld komt, kan ertoe leiden dat alsnog conform de AVG wordt gehandeld en dat daarmee de bezwaren van de klager worden weggenomen. Maar streeft de klager een formeel besluit na van de AP om handhavend op te treden tegen een verwerkingsverantwoordelijke vanwege een inbreuk op de AVG, dan moet de AP onderzoeken of de klager kan worden aangemerkt als belanghebbende in de zin van artikel 1:2 Awb, zodat de klacht tevens kan worden aangemerkt als aanvraag in de zin van de Awb.

• Betrokkene en belanghebbende

  In dit verband verdient de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State van 21 februari 2018, ECLI:NL:RVS:2018:590 aandacht. Daarin was aan de orde of de indiener van een verzoek om handhaving strekkende tot verwijdering van beveiligingscamera’s op een industrieterrein wegens overtreding van ‘de privacywetgeving’ kon worden aangemerkt als belanghebbende. Uit de uitspraak blijkt dat appellante met haar voertuig langs de camera’s is gereden, hetgeen door de camera’s is opgenomen. In haar uitspraak overweegt de Afdeling onder verwijzing naar eerdere Afdelingsjurisprudentie dat met gegevens als een kenteken, merk en type van een voertuig de mogelijkheid bestaat een bepaald persoon te identificeren en dat deze gegevens daarmee als persoonsgegeven zijn te kwalificeren.
  We mogen dus aannemen dat appellante kon worden aangemerkt als ‘betrokkene’¹²xIngevolge art. 1 aanhef en sub f Wbp werd onder ‘betrokkene’ verstaan: degene op wie een persoonsgegeven betrekking heeft. Ook in de AVG komt het begrip betrokkene voor, vgl. het begrip ‘persoonsgegevens’, dat is gedefinieerd in art. 4 aanhef en sub 1 AVG: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van één of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon. in de zin van de Wet bescherming persoonsgegevens (Wbp), die nog van toepassing was in de casus waarover de Afdeling in haar uitspraak oordeelde. Toch kwam de Afdeling tot het oordeel dat die enkele omstandigheid onvoldoende was voor de conclusie dat appellante ook kon worden aangemerkt als belanghebbende in de zin van artikel 1:2 Awb. Daarbij heeft de Afdeling in aanmerking genomen dat appellante niet woonde of werkte in het gebied waarin de camera’s waren geplaatst en dat zij evenmin aannemelijk had gemaakt dat zij was genoodzaakt duurzaam en op gezette tijden in het gebied te verblijven. Voorts was zij geen gerechtigde ten aanzien van een onroerend goed in het gebied, aldus de Afdeling.
  Het door appellante ingeroepen recht op eerbiediging van het privéleven zoals bedoeld in artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden bracht de Afdeling niet tot een ander oordeel over de vraag of appellante als belanghebbende kon worden aangemerkt. Daarbij wees de Afdeling er nogmaals op dat appellante de desbetreffende beveiligingscamera’s op incidentele basis passeerde en dat het toezicht niet op haar persoon was gericht. Verder achtte de Afdeling van belang dat de uit het cameratoezicht verkregen informatie slechts gedurende een korte termijn, te weten een periode van zeven dagen, werd bewaard en daarna automatisch vernietigd. Ook had het college daarover ter zitting verklaard dat de beelden van de camera’s slechts werden geraadpleegd in geval van incidenten. Bovendien was het cameratoezicht voor passanten voorzienbaar, omdat zij daarvoor werden gewaarschuwd door middel van bebording aan het begin en aan het einde van het gebied, zodat zij het cameratoezicht in de publieke ruimte redelijkerwijs konden verwachten, zo overwoog de Afdeling. Gelet op dit samenstel van factoren, vond met de plaatsing van de camera’s in het betrokken gebied en de verwerking van de door deze camera’s geregistreerde gegevens die voortvloeit uit het incidenteel passeren van die camera’s, naar het oordeel van de Afdeling geen inmenging plaats in de uitoefening van het recht op het privéleven van appellante.
  Uit de hiervoor beschreven uitspraak kan worden afgeleid dat de Afdeling ook bij cameratoezicht ervan uitgaat dat voor betrokkenen een bepaalde ondergrens geldt om te kunnen worden aangemerkt als belanghebbende in de zin van artikel 1:2 lid 1 Awb. In zekere zin bestaat hier een parallel met de Afdelingsjurisprudentie over het belanghebbende-begrip in het omgevingsrecht, waarin de Afdeling als criterium aanhoudt dat iemand in beginsel niet als belanghebbende kan worden aangemerkt als deze geen ‘gevolgen van enige betekenis’ ondervindt.¹³xZie bijvoorbeeld ABRvS 23 augustus 2017, ECLI:NL:RVS:2017:2271.
  Een ruimere benadering van het belanghebbende-begrip door de Afdeling in haar uitspraak van 21 februari 2018 was naar onze mening verdedigbaar geweest. Er worden immers gegevens over betrokkene vastgelegd en het gaat om een situatie die raakt aan het grondrecht van de betrokkene op eerbiediging van haar persoonlijke levenssfeer. Dan doet het wat vreemd aan als een handhavingsverzoek van de betrokkene bij de AP vanwege een vermeende inbreuk op de Wbp niet zou leiden tot een tot de betrokkene gericht besluit op diens verzoek om handhavend op te treden jegens de verantwoordelijke. Als iemand gold als betrokkene in de zin van de Wbp, kon diegene daaraan ook op grond van de Wbp namelijk bepaalde rechten ontlenen ten opzichte van de verantwoordelijke voor de verwerking van de persoonsgegevens. Tegelijkertijd zou in de beschreven casus bijvoorbeeld het inzagerecht van de betrokkene op grond van artikel 35 Wbp weinig betekenisvol zijn als de beelden maximaal zeven dagen bewaard blijven, terwijl de verantwoordelijke vier weken de tijd had om op een verzoek om inzage te reageren. Ook een handhavingsverzoek zou in dat verband weinig zinvol zijn. Vanuit praktisch oogpunt is voor het oordeel van de Afdeling overigens wel wat te zeggen: hoewel daaraan juridisch gezien geen gewicht toekomt, zou het in de praktijk kunnen leiden tot onwerkbare hoeveelheden verzoeken om handhaving als in het geval van cameratoezicht iedere betrokkene, ongeacht de aard van de verwerking en hoe beperkt in tijd deze verwerking ook is, als belanghebbende kan worden aangemerkt en daarmee een verzoek om handhaving kan indienen.
  We zagen dat de Afdeling in haar uitspraak oordeelde dat degene die om handhaving had verzocht niet kon worden aangemerkt als belanghebbende, zodat de reactie op het verzoek geen besluit opleverde, terwijl zij wel betrokkene was. Op grond van de AVG heeft iedere betrokkene echter wel het recht om een klacht op grond van de AVG in te dienen bij de toezichthoudende autoriteit, in Nederland dus de AP. In de situatie die aan de orde was in de uitspraak van de Afdeling kan betrokkene, ook al kan zij volgens de Afdeling niet worden aangemerkt als belanghebbende, daarom inmiddels met een klacht op grond van de AVG bewerkstelligen dat de AP die klacht in passende mate onderzoekt en haar informeert over de voortgang en het resultaat van de klacht. Onder de Wbp zou de AP zelf kunnen beoordelen of zij aanleiding zag om de melding van betrokkene nader te onderzoeken en zo nodig op te treden, maar zou de reactie van de AP op een handhavingsverzoek van betrokkene geen besluit zijn, aangezien zij geen belanghebbende is. Daartegen stond dus ook geen bestuursrechtelijke rechtsbescherming open. Onder de AVG staan betrokkene dus meer mogelijkheden ter beschikking om het cameratoezicht waartegen volgens haar handhavend moest worden opgetreden, te bestrijden. Ervan uitgaande dat de uitspraak van de Afdeling onder de AVG niet anders zou luiden,¹⁴xEr zijn geen aanwijzingen dat het begrip ‘betrokkene’ onder de AVG anders moet worden uitgelegd dan onder Richtlijn 95/46/EG (de Privacyrichtlijn), die in Nederland was geïmplementeerd in de Wbp, het geval was. staat voor haar echter nog steeds geen bestuursrechtelijke rechtsbescherming open als zij zich met dat door de AP meegedeelde resultaat van haar klacht niet zou kunnen verenigen. Omdat zij geen belanghebbende is, is haar klacht immers geen aanvraag in de zin van artikel 1:3 lid 3 Awb en de reactie daarop van de AP geen besluit in de zin van artikel 1:3 lid 1 Awb, zoals ook al het geval was onder de Wbp.
  In een recente zaak is de AP overigens tot het oordeel gekomen dat twee particulieren die een verzoek om handhaving hadden ingediend bij de AP vanwege cameratoezicht nabij hun woningen wel als belanghebbenden waren aan te merken, omdat zij voor de toegang tot hun woning hoofdzakelijk waren aangewezen op het deel van de openbare weg waarop de camera’s mede waren gericht.¹⁵xBesluit op bezwaar van 20 juni 2018, zie https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/beslissing_op_bezwaar_cameratoezicht_en_gerechtvaardigd_belang_openbare_versie.pdf. Tegen dit besluit loopt nog een beroep bij de rechtbank.
  Uiteraard hangt het antwoord op de vraag of degene die verzoekt om handhavend op te treden tegen cameratoezicht kan worden aangemerkt als belanghebbende af van vele factoren. Hierbij komt niet alleen gewicht toe aan de vraag of een betrokkene om welke reden dan ook is genoodzaakt om de camera’s te passeren, of het cameratoezicht voorzienbaar is en welke bewaartermijn wordt aangehouden. Onder meer kan daarbij ook het gebruik dat van de beelden wordt gemaakt van belang zijn (vindt bijvoorbeeld doorgifte aan derden plaats en in hoeverre is het toezicht gericht op specifieke personen?). In het kader van het recht op bescherming van persoonsgegevens bestaat dus geen eenvoudige vuistregel aan de hand waarvan kan worden beoordeeld of een verzoeker kan worden aangemerkt als belanghebbende: het gaat soms om een complexe beoordeling die kan vragen om nader onderzoek naar het handelen van de verwerkingsverantwoordelijke en die kan afhangen van een veelvoud aan factoren.
  Een interessant punt dat zich aandient in het kader van de vraag wie als belanghebbende kan worden aangemerkt bij een verzoek om op te treden tegen een verwerking van persoonsgegevens is of concurrenten van een verwerkingsverantwoordelijke, niet zijnde betrokkenen in de zin van de AVG, nog een handhavingsverzoek kunnen indienen om op te treden tegen een inbreuk op de AVG. Volgens vaste jurisprudentie van de Afdeling is degene wiens concurrentiebelang rechtstreeks is betrokken bij een besluit belanghebbende, ongeacht de vraag of het concurrentiebelang bij het nemen van dit besluit een rol kan spelen.¹⁶xZie onder meer ABRvS 20 januari 2016, ECLI:NL:RVS:2016:106. Daarom mag worden aangenomen dat gezien deze jurisprudentie ook onder de Wbp voor concurrenten de mogelijkheid bestond om handhavingsverzoeken in te dienen in gevallen waarbij sprake was van een rechtstreeks bij het verzochte besluit betrokken concurrentiebelang. Hoewel de Wbp uiteraard niet strekte tot bescherming van de belangen van concurrenten van verantwoordelijken, kwam aan het beschermingsbereik van de Wbp in het kader van het relativiteitsvereiste geen belang toe in de bestuurlijke fase. Het relativiteitsvereiste, zoals opgenomen in artikel 8:69a Awb, geldt immers alleen bij toetsing van besluiten door de rechter. Bovendien heeft de Afdeling, in navolging van de conclusie daarover van staatsraad advocaat-generaal Widdershoven,¹⁷xConclusie van 2 december 2015, ECLI:NL:RVS:2015:3680. aanvaard dat onder omstandigheden een geslaagd beroep van een concurrent op het vertrouwens- en gelijkheidsbeginsel kan leiden tot een correctie op het relativiteitsvereiste.¹⁸xZie ABRvS 16 maart 2016, ECLI:NL:RVS:2016:732. We kunnen er dus van uitgaan dat bedrijven onder de Wbp onder bepaalde voorwaarden de mogelijkheid hadden om te bewerkstelligen dat handhavend zou worden opgetreden tegen hun concurrenten wegens overtreding van de Wbp.
  Onder de AVG is dit volgens ons niet langer mogelijk. Op grond van artikel 57 lid 1 aanhef en sub f AVG komt het recht om een klacht in te dienen over inbreuken op de AVG namelijk toe aan betrokkenen. Uit artikel 80 AVG vloeit voort dat de lidstaten kunnen bepalen dat dit recht ook toekomt aan organen, organisaties of verenigingen zonder winstoogmerk die op geldige wijze volgens het recht van een lidstaat zijn opgericht, waarvan de statutaire doelstellingen het openbare belang dienen en die actief zijn op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens, indien zij van mening zijn dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking. Kort gezegd biedt artikel 80 AVG dus de mogelijkheid om op nationaal niveau te bepalen dat niet alleen betrokkenen een klacht kunnen indienen op grond van de AVG, maar dat dat recht ook toekomt aan belangenverenigingen op het gebied van de bescherming van persoonsgegevens. Hoewel de AVG op een aantal punten de mogelijkheid biedt om op nationaal niveau te voorzien in regelingen die afwijken van de AVG of daarop een aanvulling vormen, is een belangrijke doelstelling van de AVG het binnen de Europese Unie realiseren van een gelijkwaardige bescherming van persoonsgegevens binnen de gehele Unie.¹⁹xZie met name overweging 10 bij de AVG, waarin onder meer staat: ‘Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens.’ Het ligt dus niet voor de hand om, behoudens waar de AVG dat uitdrukkelijk mogelijk maakt, aan te nemen dat aan lidstaten de ruimte toekomt om op nationaal niveau te voorzien in afwijkingen van of aanvullingen op de AVG. Nu uit de AVG niet blijkt dat is beoogd om de mogelijkheid te bieden om op het niveau van een lidstaat de kring van partijen waaraan het recht toekomt om een klacht in te dienen over een inbreuk op de AVG verder uit te breiden dan is geregeld in artikel 80 AVG, verwachten wij dat de hiervoor aangehaalde Afdelingsjurisprudentie over de mogelijkheid van concurrenten om handhavingsverzoeken in te dienen, niet kan worden toegepast in geval van handhavingsverzoeken wegens beweerde inbreuken op de AVG. De Awb en de Afdelingsjurisprudentie daarover mogen immers niet leiden tot strijd met het rechtstreeks toepasselijke Unierecht uit de AVG.²⁰xVergelijk HvJ EG 9 maart 1978, zaak C-106/77, Simmenthal II, ECLI:EU:C:1978:49, HvJ EU 8 september 2010, zaak C-409/06, Winner Wetten, ECLI:EU:C:2010:503 en HvJ EU 10 april 2014, zaak C-435/12, ACI Adam BV e.a./Stichting de Thuiskopie, ECLI:EU:C:2014:254.

• Beslistermijnen

  In het vervolg van deze bijdrage gaan we ervan uit dat degene die zich bij de AP meldt met een klacht, zowel betrokkene als belanghebbende is. Neem bijvoorbeeld de situatie die zich voordeed in de zaak Nowak.²¹xHvJ EU 20 december 2017, zaak C-434/16, Nowak, ECLI:EU:C:2017:994. Zie over deze zaak ook S. Kulk, ‘Examenantwoorden zijn ook persoonsgegevens. Over de reikwijdte van de AVG’, NtEr 2018/5-6, p. 205-210. Peter Nowak diende een verzoek in tot toegang tot alle persoonsgegevens die de Ierse beroepsorganisatie voor accountants/belastingadviseurs over hem had. Hij was niet geslaagd voor één examen en was waarschijnlijk met name geïnteresseerd in zijn examenwerk. In reactie hierop stuurde de organisatie Nowak zeventien documenten toe, maar zij weigerde hem zijn schriftelijke examenwerk toe te sturen.
  Als deze situatie zich nu in Nederland zou afspelen, en Nowak zich tot de AP zou richten met een verzoek om handhaving, dan zou de AP de klacht op grond van de AVG ‘in gepaste mate’ onderzoeken.²²xVgl. art. 57 lid 1 aanhef en sub f AVG. Uit de formulering van deze bepaling blijkt dat het onderzoek dat naar aanleiding van een klacht wordt uitgevoerd, niet verder hoeft te gaan dan in het specifieke geval passend is. Bij het behandelen van klachten maakt de AP dan ook een afweging ten aanzien van de mate van intensiteit van het onderzoek dat op een klacht volgt. Vanwege de hoeveelheid signalen, klachten en verzoeken om handhaving die de AP ontvangt en gezien de omvang van het toezichtveld voert de AP prioriteringsbeleid. Zie het besluit van de Autoriteit persoonsgegevens van 20 september 2018, houdende de vaststelling van beleidsregels met betrekking tot de prioritering van klachtenonderzoek (Beleidsregels prioritering klachtenonderzoek AP), Stcrt. 2018, 54287. De AP zal in zo’n geval contact opnemen met de verwerkingsverantwoordelijke, om te vragen naar de reden van de gedeeltelijke afwijzing van het inzageverzoek. In de zaak Nowak draaide de discussie om de vraag of een examenwerk persoonsgegevens bevat. Volgens de beroepsorganisatie was dat niet het geval. Het Hof van Justitie heeft echter geoordeeld dat ‘de door de kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator bij deze antwoorden, persoonsgegevens in de zin van die bepaling [artikel 2, aanhef en onder a, van de Privacyrichtlijn, toevoeging auteurs] vormen’. Hierbij achtte het Hof van Justitie onder meer van belang dat de inhoud van de gegeven antwoorden iets zegt over het niveau van de kennis en de vaardigheden van de leerling op een bepaald gebied, en eventueel ook zijn gedachtegang, oordeel en kritische geest. Een onverkorte weigering van het geven van inzage in het examenwerk zou daarom een overtreding van artikel 15 AVG opleveren.
  De AVG bepaalt dat de AP de klager binnen een redelijke termijn in kennis stelt van de voortgang en het resultaat van het onderzoek.²³xArt. 57 lid 1 aanhef en sub f AVG. Ook art. 77 lid 2 AVG bepaalt dat de toezichthoudende autoriteit de klager in kennis stelt van de voortgang en het resultaat van de klacht. Vervolgens bepaalt artikel 78 lid 2 AVG dat iedere betrokkene (onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep) het recht heeft om een doeltreffende voorziening in rechte in te stellen indien de AP een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de ingediende klacht. De AP zal Nowak dus in ieder geval binnen drie maanden moeten berichten.
  In dit voorbeeld gaat het om een redelijk overzichtelijke zaak. In de regel zal het mogelijk zijn om in zo’n geval binnen drie maanden een besluit te nemen op het verzoek om handhaving. Met dat besluit wordt de betrokkene – in overeenstemming met artikel 77 lid 2 AVG – op de hoogte gesteld van het resultaat van de klacht. Het opleggen van een last onder dwangsom is in het geval van het niet voldoen aan het inzageverzoek een mogelijkheid.²⁴xVgl. de last onder dwangsom die de AP heeft opgelegd aan een bank die niet voldeed aan een inzageverzoek (https://autoriteitpersoonsgegevens.nl/nl/nieuws/tgb-betaalt-dwangsom-na-niet-voldoen-aan-inzageverzoek). Op grond van art. 16 UAVG, gelezen in samenhang met art. 5:32 Awb, is de AP bevoegd tot oplegging van een last onder dwangsom. Maar: het is ook goed denkbaar dat de beroepsorganisatie ertoe kan worden bewogen om de leerling inzage te geven in zijn examens door een informele interventie van de AP. Denk daarbij bijvoorbeeld aan de eerder in dit artikel al beschreven normuitleg aan de verwerkingsverantwoordelijke, die aanleiding kan zijn om alsnog naar tevredenheid van de betrokkene aan een inzageverzoek te voldoen.
  Het hiervoor geschetste voorbeeld betreft een puur nationale situatie. Gegevensverwerkingen beperken zich echter vaak niet tot de grenzen van één lidstaat. Als sprake is van een grensoverschrijdende verwerking van een organisatie met een hoofdvestiging in Nederland, dan zal de AP als leidende toezichthouder haar optreden moeten afstemmen met de zogeheten betrokken toezichthouders:²⁵xArt. 4 aanhef en sub 22 AVG. de toezichthouders in lidstaten waar de gegevensverwerking kort gezegd impact heeft.²⁶xZie hierover ook E. Oude Elferink & J.G. Reus, ‘Handhaving van de Algemene Verordening Gegevensbescherming vanuit Nederlands perspectief’, NtEr 2017/6, p. 160-162. Voordat een besluit kan worden genomen, moet een ontwerp van dat besluit eerst worden voorgelegd aan de betrokken toezichthouders.²⁷xArt. 60 AVG. Als de toezichthouders onderling geen overeenstemming kunnen bereiken, voorziet de AVG bovendien nog in een mogelijkheid om het geschil voor te leggen aan het Europees Comité voor gegevensbescherming (het Comité).²⁸xZie verder over de rol van het Comité: H. Hijmans, ‘De AVG en de UAVG. Het grondrecht op gegevensbescherming wordt door de EU beschermd. De werking van dit recht in de Nederlandse rechtsorde roept vragen op’, NJB 2018, 7, p. 472-478. Dit systeem wordt het coherentiemechanisme genoemd.²⁹xArt. 63 AVG. Doel van dit mechanisme is dat de AVG in de gehele Unie consequent wordt toegepast.³⁰xOverweging 135 bij de AVG. Tegen het bindend besluit van het Comité kan ook nog een beroep tot nietigverklaring worden ingesteld bij het Hof van Justitie.³¹xVgl. ook overweging 143 bij de AVG: ‘Als adressaten van dergelijke besluiten dienen de betrokken toezichthoudende autoriteiten die wensen op te komen tegen deze besluiten, binnen twee maanden na de kennisgeving ervan beroep in te stellen overeenkomstig artikel 263 VWEU. Wanneer de verwerkingsverantwoordelijke, de verwerker of de klager rechtstreeks en individueel wordt geraakt door besluiten van het Comité, kan hij binnen twee maanden na de bekendmaking ervan op de website van het Comité een beroep tot nietigverklaring van deze besluiten instellen overeenkomstig artikel 263 VWEU.’
  Begrijpelijkerwijs kost het doorlopen van het coherentiemechanisme tijd. Als betrokken toezichthouders bezwaren³²xIn art. 60 lid 4 AVG wordt gesproken over ‘relevante en gemotiveerde’ bezwaren. naar voren brengen over een voorgelegd ontwerpbesluit, moet worden bezien of daarin aanleiding bestaat om het ontwerpbesluit te herzien en opnieuw voor te leggen aan de overige betrokken toezichthouders.³³xArt. 60 lid 5 AVG. En hoewel de toezichthouders onderling hebben afgesproken dat zij ernaar streven om onderling overeenstemming te bereiken, is de realiteit dat de lidstaten als gevolg van verschillen in wetgevingsstelsels en culturele verschillen in het verleden de Privacyrichtlijn ieder op hun eigen manier hebben geïmplementeerd.³⁴xVgl. ook B. Clusters e.a. (red), De bescherming van persoonsgegevens. Acht Europese landen vergeleken, Den Haag: Sdu Uitgevers 2017. De met de AVG nagestreefde uniformiteit zal die verschillen niet in één keer wegnemen, zodat de weg naar het Comité (en eventueel het Hof van Justitie) in voorkomende gevallen toch nodig zal zijn om tot een eenduidige toepassing van de AVG te komen.
  De klager die het verzoek om handhaving bij de AP indient, zal zich er meestal niet van bewust zijn dat voor het behandelen van zijn klacht afstemming op Europees niveau nodig is. Het lijkt ons dan ook primair aan de AP om de klager hierover actief te informeren. Maar welke middelen heeft de klager in handen als hij desondanks de AP wil bewegen om een besluit te nemen?
  Paragraaf 4.1.3.1 van de Awb over beslistermijnen gaat uit van een onderscheid tussen de situatie waarin de beslistermijn is geregeld in een wettelijk voorschrift en de situatie waarin geen vaste wettelijke termijn is bepaald. In dat laatste geval moet het bestuursorgaan beslissen binnen een redelijke termijn na ontvangst van de aanvraag.³⁵xArt. 4:13 Awb. Die redelijke termijn is in ieder geval verstreken wanneer het bestuursorgaan binnen acht weken na ontvangst van de aanvraag geen beschikking heeft gegeven en evenmin een redelijke nieuwe termijn heeft medegedeeld.³⁶xArt. 4:13 lid 2 Awb.
  De vraag is of artikel 78 lid 2 AVG een bij wettelijk voorschrift bepaalde termijn is. Artikel 78 lid 2 AVG biedt expliciet de mogelijkheid dat betrokkene niet binnen drie maanden in kennis wordt gesteld van het resultaat (indien een verzoek om handhaving is ingediend, zal het in kennis stellen van het resultaat van de klacht als hoofdregel gebeuren in de vorm van een besluit³⁷xDit is niet het geval als het verzoek is gedaan door een niet-belanghebbende.), maar dat mededeling wordt gedaan over de voortgang van het onderzoek. Gelet op die laatste mogelijkheid lijkt het op het eerste gezicht niet logisch om de termijn uit artikel 78 lid 2 AVG als ‘beslistermijn’ aan te merken. Desalniettemin menen wij dat de termijn van drie maanden als een bij wettelijk voorschrift bepaalde termijn als bedoeld in artikel 4:13 lid 1 Awb moet worden gezien. Een andere uitleg lijkt niet te passen binnen het systeem van de AVG. Als namelijk moet worden uitgegaan van een redelijke termijn, moet de AP met toepassing van artikel 4:14 lid 3 Awb steeds binnen acht weken de redelijke termijn noemen waarbinnen wel een beschikking tegemoet kan worden gezien. Van die mogelijkheid kan – zo wordt aangenomen – in de hoofdregel maar één keer gebruik worden gemaakt.³⁸xZie ook De Poorter, T&C Algemene wet bestuursrecht, art. 4:14, aant. 5. De AVG lijkt echter niet uit te willen sluiten dat meerdere malen mededeling wordt gedaan over de voortgang. Dat is ook begrijpelijk, gezien de hiervoor geschetste mogelijke procedures die zich kunnen voordoen naar aanleiding van een klacht over een grensoverschrijdende verwerking. Overigens gaat de nationale wetgever er eveneens van uit dat er sprake is van een bij wettelijk voorschrift bepaalde termijn, zo blijkt uit de memorie van toelichting bij de UAVG.³⁹x Kamerstukken II 2017/18, 34851, 3, p. 27-28.
  Naar onze mening volgt uit de regeling in artikel 78 lid 2 AVG verder dat de termijn van drie maanden niet alleen gestuit kan worden door het nemen van een besluit, maar ook door het doen van een mededeling over de voortgang. Dat is een modaliteit die de Awb niet kent, maar die voortvloeit uit de systematiek van de AVG. In zoverre derogeert de AVG dus aan de Awb. Verder ligt het volgens ons voor de hand dat iedere drie maanden een mededeling over de voortgang wordt gedaan, totdat de AP op het handhavingsverzoek heeft beslist. De klager zou anders te lang in het duister tasten over de status van het onderzoek naar zijn klacht.
  Ten slotte is niet onbelangrijk dat de regeling over dwangsom en beroep bij niet tijdig beslissen van toepassing is. Tegen het uitblijven van een beslissing of een voortgangsmededeling van de AP staat bestuursrechtelijke rechtsbescherming op grond van de Awb open. In de situatie dat er niet binnen drie maanden een besluit kan worden genomen op een handhavingsverzoek en de klager hierover in lijn met de AVG mededeling is gedaan over de voortgang van het onderzoek naar zijn klacht, maar de klager toch beroep instelt tegen het uitblijven van een besluit op het handhavingsverzoek, gaan wij ervan uit dat de bestuursrechter in het kader van het beroep de inhoud van de voortgangsmededeling van de AP beoordeelt. Die mededeling zal dan ook gemotiveerd moeten zijn en inzicht geven in de vraag waarom op een concreet handhavingsverzoek nog geen besluit kon worden genomen.

• Tot besluit

  Het is eigen aan het instrument van een rechtstreeks werkende Europese verordening dat de doorwerking ervan in de nationale rechtsorde vragen oplevert. In ons artikel hebben we geprobeerd om duidelijk te maken dat het bij toepassing van de AVG van belang is om zich te realiseren dat de AVG niet een-op-een kan worden vertaald naar ons nationale Awb-kader. Ook de UAVG heeft niet alle mogelijke knelpunten tussen AVG en Awb weggenomen, en hier en daar vergt het wat creativiteit om de AVG en Awb in de praktijk op elkaar te laten aansluiten.
  In deze bijdrage hebben we gezien dat het Awb-denken nu en dan (deels) zal moeten worden losgelaten om te voorkomen dat strijd ontstaat met het Unierecht. Zo hebben we uiteengezet waarom de AVG-klacht volgens ons niet zonder meer op één lijn kan worden gesteld met een handhavingsverzoek op grond van de Awb. Daarnaast hebben we uitgelegd waarom de betrokkene meer instrumenten in handen heeft om op te komen tegen verwerking van zijn persoonsgegevens dan onder de Wbp, maar dat die betrokkene niet altijd kan worden aangemerkt als belanghebbende, zodat deze niet altijd een Awb-besluit kan uitlokken. Anderzijds bestaat naar onze mening onder de AVG geen ruimte meer om een bedrijf als belanghebbende aan te merken bij een verzoek om handhaving wegens een beweerdelijke inbreuk op de AVG door een concurrerende organisatie. Ook de regeling voor beslistermijnen uit de Awb past niet volledig binnen het stelsel van de AVG, zodat ook die regeling volgens ons niet onverkort kan worden toegepast.

  Ongetwijfeld zal de verhouding tussen AVG en Awb in de praktijk ook vele andere vragen oproepen. Gelet op het aantal klachten dat de AP ontvangt – op 13 december 2018 maakte de AP bekend dat dit er sinds 25 mei 2018 bijna 10.000 waren⁴⁰xZie https://autoriteitpersoonsgegevens.nl/nl/nieuws/bijna-10000-mensen-dienen-privacyklacht-bij-autoriteit-persoonsgegevens. – zullen deze vragen nog regelmatig aan de orde komen.

Noten

• 1 Zie ook J.P. de Jong, ‘AVG, UAVG en Awb’, NTB 2018/53.

• 2 Art. 57 AVG.

• 3 De opsomming van de taken van de AP in de AVG is overigens niet limitatief: de AP verricht namelijk ook ‘alle andere taken die verband houden met de bescherming van persoonsgegevens’, zie art. 57 lid 1 aanhef en sub v AVG.

• 4 Art. 15 AVG.

• 5 Art. 21 AVG.

• 6 ‘Iedere betrokkene dient het recht te hebben om een klacht in te dienen bij één enkele toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, en een doeltreffende voorziening in rechte in te stellen overeenkomstig artikel 47 van het Handvest indien hij meent dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening (…).’

• 7 Art. 57 lid 1 aanhef en sub f AVG.

• 8 Art. 9:1 Awb.

• 9 Kamerstukken II 2017/18, 34851, 3, p. 27.

• 10 Kamerstukken II 2017/18, 34851, 3, p. 27.

• 11 Kamerstukken II 2017/18, 34851, 7, p. 34.

• 12 Ingevolge art. 1 aanhef en sub f Wbp werd onder ‘betrokkene’ verstaan: degene op wie een persoonsgegeven betrekking heeft. Ook in de AVG komt het begrip betrokkene voor, vgl. het begrip ‘persoonsgegevens’, dat is gedefinieerd in art. 4 aanhef en sub 1 AVG: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van één of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

• 13 Zie bijvoorbeeld ABRvS 23 augustus 2017, ECLI:NL:RVS:2017:2271.

• 14 Er zijn geen aanwijzingen dat het begrip ‘betrokkene’ onder de AVG anders moet worden uitgelegd dan onder Richtlijn 95/46/EG (de Privacyrichtlijn), die in Nederland was geïmplementeerd in de Wbp, het geval was.

• 15 Besluit op bezwaar van 20 juni 2018, zie https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/beslissing_op_bezwaar_cameratoezicht_en_gerechtvaardigd_belang_openbare_versie.pdf. Tegen dit besluit loopt nog een beroep bij de rechtbank.

• 16 Zie onder meer ABRvS 20 januari 2016, ECLI:NL:RVS:2016:106.

• 17 Conclusie van 2 december 2015, ECLI:NL:RVS:2015:3680.

• 18 Zie ABRvS 16 maart 2016, ECLI:NL:RVS:2016:732.

• 19 Zie met name overweging 10 bij de AVG, waarin onder meer staat: ‘Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens.’

• 20 Vergelijk HvJ EG 9 maart 1978, zaak C-106/77, Simmenthal II, ECLI:EU:C:1978:49, HvJ EU 8 september 2010, zaak C-409/06, Winner Wetten, ECLI:EU:C:2010:503 en HvJ EU 10 april 2014, zaak C-435/12, ACI Adam BV e.a./Stichting de Thuiskopie, ECLI:EU:C:2014:254.

• 21 HvJ EU 20 december 2017, zaak C-434/16, Nowak, ECLI:EU:C:2017:994. Zie over deze zaak ook S. Kulk, ‘Examenantwoorden zijn ook persoonsgegevens. Over de reikwijdte van de AVG’, NtEr 2018/5-6, p. 205-210.

• 22 Vgl. art. 57 lid 1 aanhef en sub f AVG. Uit de formulering van deze bepaling blijkt dat het onderzoek dat naar aanleiding van een klacht wordt uitgevoerd, niet verder hoeft te gaan dan in het specifieke geval passend is. Bij het behandelen van klachten maakt de AP dan ook een afweging ten aanzien van de mate van intensiteit van het onderzoek dat op een klacht volgt. Vanwege de hoeveelheid signalen, klachten en verzoeken om handhaving die de AP ontvangt en gezien de omvang van het toezichtveld voert de AP prioriteringsbeleid. Zie het besluit van de Autoriteit persoonsgegevens van 20 september 2018, houdende de vaststelling van beleidsregels met betrekking tot de prioritering van klachtenonderzoek (Beleidsregels prioritering klachtenonderzoek AP), Stcrt. 2018, 54287.

• 23 Art. 57 lid 1 aanhef en sub f AVG. Ook art. 77 lid 2 AVG bepaalt dat de toezichthoudende autoriteit de klager in kennis stelt van de voortgang en het resultaat van de klacht.

• 24 Vgl. de last onder dwangsom die de AP heeft opgelegd aan een bank die niet voldeed aan een inzageverzoek (https://autoriteitpersoonsgegevens.nl/nl/nieuws/tgb-betaalt-dwangsom-na-niet-voldoen-aan-inzageverzoek). Op grond van art. 16 UAVG, gelezen in samenhang met art. 5:32 Awb, is de AP bevoegd tot oplegging van een last onder dwangsom.

• 25 Art. 4 aanhef en sub 22 AVG.

• 26 Zie hierover ook E. Oude Elferink & J.G. Reus, ‘Handhaving van de Algemene Verordening Gegevensbescherming vanuit Nederlands perspectief’, NtEr 2017/6, p. 160-162.

• 27 Art. 60 AVG.

• 28 Zie verder over de rol van het Comité: H. Hijmans, ‘De AVG en de UAVG. Het grondrecht op gegevensbescherming wordt door de EU beschermd. De werking van dit recht in de Nederlandse rechtsorde roept vragen op’, NJB 2018, 7, p. 472-478.

• 29 Art. 63 AVG.

• 30 Overweging 135 bij de AVG.

• 31 Vgl. ook overweging 143 bij de AVG: ‘Als adressaten van dergelijke besluiten dienen de betrokken toezichthoudende autoriteiten die wensen op te komen tegen deze besluiten, binnen twee maanden na de kennisgeving ervan beroep in te stellen overeenkomstig artikel 263 VWEU. Wanneer de verwerkingsverantwoordelijke, de verwerker of de klager rechtstreeks en individueel wordt geraakt door besluiten van het Comité, kan hij binnen twee maanden na de bekendmaking ervan op de website van het Comité een beroep tot nietigverklaring van deze besluiten instellen overeenkomstig artikel 263 VWEU.’

• 32 In art. 60 lid 4 AVG wordt gesproken over ‘relevante en gemotiveerde’ bezwaren.

• 33 Art. 60 lid 5 AVG.

• 34 Vgl. ook B. Clusters e.a. (red), De bescherming van persoonsgegevens. Acht Europese landen vergeleken, Den Haag: Sdu Uitgevers 2017.

• 35 Art. 4:13 Awb.

• 36 Art. 4:13 lid 2 Awb.

• 37 Dit is niet het geval als het verzoek is gedaan door een niet-belanghebbende.

• 38 Zie ook De Poorter, T&C Algemene wet bestuursrecht, art. 4:14, aant. 5.

• 39 Kamerstukken II 2017/18, 34851, 3, p. 27-28.

• 40 Zie https://autoriteitpersoonsgegevens.nl/nl/nieuws/bijna-10000-mensen-dienen-privacyklacht-bij-autoriteit-persoonsgegevens.